Утёкшие документы, связанные с группой вымогателей Luna Moth, дают защитникам редкую возможность увидеть, как организована эта операция. Согласно Infosecurity Magazine, материалы указывают на многовекторную кампанию, в которой специалисты по социальной инженерии и более технически подготовленные атакующие работают вместе, чтобы манипулировать одной целью. Для тех, кто пытается понять сценарий социальной инженерии Luna Moth, именно это разделение труда является ключевой деталью, поскольку оно объясняет, почему один убедительный телефонный звонок может привести к гораздо более масштабному вторжению.

Что раскрывают утечки о сценарии социальной инженерии Luna Moth

Группа также известна как Silent Ransom Group, Chatty Spider и UNC3753. Публичные предупреждения, включая одно, упомянутое в результатах поиска от ФБР и IC3, описывают её как нацеленную на юридические фирмы с использованием методов социальной инженерии, включая выдачу себя за ИТ-персонал. Отдельное исследование угроз описывает использование callback-фишинга как части её кампаний по вымогательству данных.

Что добавляют новые утечки, согласно публикации, — это взгляд изнутри. Вместо одинокого атакующего, делающего всё в одиночку, документы указывают на скоординированные усилия, направленные на одну жертву за раз. В более раннем материале на vpn.social рассматривалось, как файлы Luna Moth раскрывают сценарий вымогательства у юридической фирмы и предполагаемые платежи, обнаруженные в результате отдельной утечки. Вместе эти утечки указывают на структурированный бизнес, а не на разрозненную группу оппортунистов.

Здесь стоит быть осторожным. Исходная статья — это краткое резюме, а сами утёкшие документы являются утверждениями, которые не все были независимо проверены. Однако описанная в них схема совпадает с тем, о чём уже предупреждали публичные рекомендации.

Как звонящие и технические злоумышленники делят работу

Практический урок из описанной структуры заключается в том, что атака — это эстафета. Одна группа людей занимается человеческой стороной: создаёт правдоподобный предлог, добивается вовлечения цели и убеждает её предпринять конкретное действие. Другая группа занимается технической стороной: использует любой доступ, полученный в результате этого разговора, для перемещения по системам и похищения данных.

Это разделение важно по двум причинам.

Во-первых, человеку на телефоне не нужно быть технически подкованным. Его задача — убеждение. Ему нужно лишь, чтобы цель передала учётные данные, одобрила запрос или открыла дверь, а дальше технические операторы берут дело в свои руки.

Во-вторых, техническим операторам не нужно искать уязвимость в программном обеспечении. Если им передают легитимный логин или доверенную удалённую сессию, большая часть их работы выглядит как обычная активность. Именно поэтому атаки такого рода трудно обнаружить только с помощью периметровых инструментов.

Последствия были заметны в юридическом секторе. В нашем более раннем материале отмечалось, что Jones Day и Mayer Brown подтвердили кражу конфиденциальных файлов, и по крайней мере в одном случае они были опубликованы онлайн после того, как требования о выкупе остались неоплаченными. Связанный отчёт о росте атак на юридические фирмы и вишинг-мошенничествах показывает ту же тему: точкой входа часто является человек, а не вредоносное ПО.

Как распознать предлоги фишинга и вишинга до того, как вы начнёте действовать

Поскольку первый этап — это разговор, ваша лучшая ранняя защита — это привычка, а не инструмент. Предлоги, выдающие себя за ИТ-поддержку, обычно имеют несколько общих черт:

  • Срочность. Звонящий или письмо утверждает, что что-то сломано, истекает или скомпрометировано и требует действий прямо сейчас.
  • Незапрошенный контакт. Вы не открывали заявку, но кто-то утверждает, что помогает с ней.
  • Запрос доступа. Вас просят назвать код, одобрить запрос на вход, установить программное обеспечение или начать удалённую сессию.
  • Номер обратного звонка, предоставленный отправителем. Callback-фишинг рассчитывает на то, что вы наберёте номер, который контролирует атакующий.

Ответ прост, хотя и неловок в моменте. Повесьте трубку или прекратите отвечать. Затем свяжитесь с вашей ИТ-командой или провайдером, используя номер или канал, который вы уже знаете как подлинный, например внутренний справочник или официальный сайт компании. Не используйте контактные данные из самого сообщения. Легитимные сотрудники поддержки не будут против проверки.

Небольшим организациям также следует заранее договориться о правиле: никого никогда не просят одобрить вход или установить программное обеспечение удалённого доступа из-за входящего звонка. Письменное правило снимает давление с отдельного сотрудника.

Ограничение ущерба после кражи учётных данных

Исходите из того, что в конечном итоге кого-то обманут. Тогда цель — сделать украденные учётные данные менее полезными.

Используйте MFA, устойчивую к фишингу. Коды, отправленные по SMS или через push-уведомления в приложении, можно выманить у жертвы во время звонка. Аппаратные ключи безопасности и пасскеи разработаны так, чтобы работать только с подлинным сайтом, что устраняет самую распространённую вещь, которую может запросить звонящий.

Ограничьте, к чему может получить доступ любая отдельная учётная запись. Если один логин может открыть все файловые ресурсы, один звонок может раскрыть всё. Разделите доступ по ролям и удалите старые разрешения.

Следите за необычными инструментами удалённого доступа и крупными передачами данных. Новое программное обеспечение удалённого доступа или массовое перемещение данных вне обычных часов должны запускать проверку.

Имейте план реагирования. Знайте, кому звонить, как быстро отключать учётные записи и как сохранять доказательства. Группы вымогателей рассчитывают на замешательство и задержку.

Что это значит для вас

Вам не нужно быть юридической фирмой, чтобы стать целью для атак такого стиля. Те же предлоги работают на любом сотруднике или человеке, у которого есть доступ, стоящий кражи. Утечки подтверждают, что слабое место часто — это момент, когда кто-то решает, доверять ли голосу. Если вы работаете с конфиденциальными данными клиентов или заказчиков, структура, описанная в утечках, должна определить ваши приоритеты: сначала проверяйте, защищайте учётные записи более надёжной аутентификацией и сокращайте то, к чему может получить доступ любая отдельная учётная запись.

Практические выводы

  • Относитесь к любому неожиданному звонку от «ИТ-поддержки» как к неподтверждённому, пока не проверите его через известный канал.
  • Никогда не называйте коды, не одобряйте запросы и не устанавливайте инструменты удалённого доступа по просьбе входящего звонящего.
  • Переведите критически важные учётные записи на MFA, устойчивую к фишингу, такую как ключи безопасности или пасскеи.
  • Сократите разрешения учётных записей, чтобы один украденный логин не мог раскрыть всё.
  • Запишите правило проверки и список контактов для инцидентов до того, как они понадобятся.

Сценарий социальной инженерии Luna Moth работает потому, что сочетает убедительный человеческий голос с терпеливым техническим сопровождением. Проверьте свою собственную подверженность фейковым звонкам от ИТ-поддержки на этой неделе, перейдите на MFA, устойчивую к фишингу, где это возможно, и прочитайте наши связанные материалы об утечках Luna Moth и вымогательстве через вишинг, чтобы увидеть, как эти атаки разворачиваются на практике.